技術資料

ローカル環境で動く、SAML認証によるSSO用の SP(Service Provider) を、シンプルな構成で Perl で実装してみる連載第2回です。

前回は、必要となる Perl モジュールのインストールと、 SP のメタデータを生成するためのスクリプトを作成しました。

• シンプルなSAML認証用SPの構築：第一回 PerlとNet::SAML2で作るメタデータ生成スクリプト

今回は IdP(Identity Provider) に対して認証要求を送信するためのスクリプトを作成します。

認証要求の送信スクリプト

IdP に対して認証要求を送信するための Perl スクリプトを authn_request.cgi という名前で作成します。このスクリプトは、SAML 2.0 の仕様に基づいて認証要求を生成し、IdP にリダイレクトします。

#!/usr/bin/perl
use strict;
use warnings;
use Net::SAML2;
use CGI;

my $cgi = CGI->new;

# 設定
my $sp_key_file  = '/path/to/your/sp/key.pem';   # SPの秘密鍵ファイルのパス
my $sp_entity_id = 'https://localhost/perlsp/metadata.cgi';  # SPのエンティティID(かつメタデータのURL)
my $idp_metadata_url = 'https://idp.abe-tatsuya.com/saml/metadata'; # IdPのメタデータURL
my $provider_name = 'TEST SSO';  # SPのプロバイダ名

# IdPのメタデータを読み込む
my $idp = Net::SAML2::IdP->new_from_url(url => $idp_metadata_url);
my $sso_url = $idp->sso_url('urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect');

# 認証リクエスト作成
my $authnreq = Net::SAML2::Protocol::AuthnRequest->new(
    issuer        => $sp_entity_id,
    destination   => $sso_url,
    provider_name => $provider_name,
);

# 認証リクエストのIDを取得
my $saml_request_id = $authnreq->id;
# 認証リクエストのIDをセッションか何かに保存する処理
&_save_saml_request_id($saml_request_id);
# ここでは、セッションに保存するコードは省略しています。

# HTTP-RedirectバインディングでリダイレクトURLを生成
my $binding = Net::SAML2::Binding::Redirect->new(
    key   => $sp_key_file,
    cert => $idp->cert('signing'),
    param => 'SAMLRequest',
    url   => $sso_url,
);
my $redirect_url = $binding->sign($authnreq->as_xml);

# IdPにリダイレクト
print $cgi->redirect($redirect_url);

このスクリプトは、IdP のメタデータを読み込み、認証要求を生成して IdP の SSO URL にリダイレクトします。認証要求の ID はセッションに保存する必要がありますが、ここではその部分のコードは省略しています。

スクリプトの実行

ブラウザで authn_request.cgi を実行すると、IdP にリダイレクトされ、認証要求が送信されます。

IdP が正しく設定されていれば、IdP のログイン画面が表示され、ユーザーは認証を行うことができます。

認証が成功すると、IdP は SP の ACS URL にアサーションを送信します。次回は、このアサーションを受け取り、ユーザー情報を取得するためのスクリプトを作成します。